COBOL 应用程序开发安全 | 安全代码勇士

在2019年，我们应该谈论使用1959年发明的计算机语言，这似乎几乎是滑稽的。如今，专门讨论重新穿线经典辛格缝纫机或更换雪佛兰帕克伍德或《凯旋先驱报》的油底壳的艺术的研讨会或会议不多。这些老化工具中的大多数早已停用，已升级为新的、更高效的型号。然而，在科技领域，与其他行业相比，科技领域本应是前沿的，但我们仍在使用大约在同一时间发布的COBOL之类的语言。

当然，这是有充分理由的。通用业务导向语言（COBOL）可能已有60年的历史了，但它的结构非常好，至今仍然具有重要意义并被广泛使用。

COBOL 是作为一种相对简单的方法创建的，它使用按特定句子和语法分组的简单语言对后端系统进行编程以执行数学和公式化任务。为什么它在今天上线？简而言之，它的工作非常出色。从某种意义上说，它已成为金融部门和制造业等不同行业中许多大型机和核心系统的计算结构的一部分。

多年来，COBOL 不断更新，最值得注意的是在 2002 年，它变成了一种面向对象的语言，使编程新应用程序变得更加流畅。但在大多数情况下，COBOL 今天仍然是当时的样子：一个无名英雄，一种在后端运行以支撑许多现代大型机级应用程序的主力编程语言。

COBOL 有多安全？

不幸的是，在首次创建 COBOL 时，没有太多安全方面的考虑。例如，许多 COBOL 应用程序都有密码程序来保护它们，但它们几乎从来没有针对诸如暴力保护之类的东西进行强化以防止破解。再加上许多监控网络流量的现代安全工具不知道如何处理或评估用商业语言（如 COBOL）编写的程序中发生的功能，而真正的问题正在等待发生。由于缺乏对运行经典计算机语言的系统的安全监督，许多现代漏洞之所以成功。2015年，人事管理办公室（OPM）遭到黑客入侵时，超过四百万美国联邦雇员的数据被泄露， 责任归咎于他们使用 COBOL，理由是无法在如此陈旧的系统上实施现代安全措施。

几年前，安全性是由一群熟悉 COBOL 和当时其他热门语言的程序员提供的。早在20世纪60年代，COBOL就像今天的Java或.Net一样，知道它的人是他们所在部门的摇滚明星。截至2019年，这些人可能早已退休，尽管他们保护的系统尚未退休。

扩大 COBOL 的前线防线

这些所谓的 “灰胡子” 中有不少是作为承包商被带回组织的，目的是保护他们以前开发的相同大型机。在不止几个地方，他们的存在有点反常：办公室的某个后角有一个由年迈巫师组成的秘密阴谋集团，他们奇怪的衣服（宽领带和三件式西装）和奇怪的礼貌举止并不完全适合所有穿着紧身牛仔裤和男士包子的现代潮人。但是，它们是绝对必要的，因为很少有现代程序员使用COBOL和其他古代语言编写代码。可悲的是，即使是这些最后的巫师哨兵也在逐渐消失，终于放弃了幽灵，搬到了博卡拉顿，享受了真正的退休生活。

因此，迫切需要了解较早的语言及其所包含的安全漏洞的人。即使年轻人不知道如何用经典语言编写代码，他们至少应该了解它们的工作原理和潜在的漏洞。因为尽管 COBOL 的发展一直保持相对稳定，但针对网络的威胁却在不断演变。尝试使用六十年前编程的古代网络安全技术，例如前面提到的COBOL密码应用程序，来保护大型机免受现代攻击者的侵害，就像部署矛兵方阵与太空海军陆战队一排作战——除了好莱坞式的奇迹外，对于那些拿着长矛的家伙来说，结局会很糟糕。

无论是旧的还是新的，它也必须是安全的。

这就是为什么我们相信涵盖各种编程语言和框架的高级培训系统的重要性。你看，许多安全培训选项的明显问题之一是这些信息过于笼统，或者更糟糕——与参与其中的开发人员的日常工作完全无关。花半天时间学习仅适用于 Java 的漏洞并不能帮助 COBOL 开发人员强化他们的系统，它只会延续 “安全” 的理念，即在必修课程完成后不容忽视。我想补充一点，对某人进行有关 Java 安全漏洞的培训并不总是适用于 Java Spring 开发人员。每种语言的安全编码都不一样，即使在框架级别上也是如此。

我们的使命是让所有开发者成为安全超级英雄，我们不会忽视世界上一些最具针对性和关键性的设施仍在使用的有效计算机语言。探索我们的平台，你会发现与COBOL相关的现代实践挑战和培训，以及当今可用的一些最现代的编程工具，例如谷歌的Golang。这种灵活性可确保培训与个人相关且符合情境，模仿他们的工作环境，从而最大限度地提高参与度和效率。毕竟，建立强大的安全文化对于应对网络威胁至关重要，因此培训应该实用（当然也很有趣！）。

我们希望我们的行业进入这样一个阶段：无论是针对运行老化语言的系统，还是针对最现代的移动应用程序，都不会受到安全威胁。我们希望每位开发人员都掌握有关这些漏洞、攻击者用来利用这些漏洞的工具和技术以及如何阻止它们冷落的最佳信息。面对网络安全威胁，我们绝不会投降或放弃。无论威胁或漏洞是多么现代或多久以前产生的，您都可以随时求助 安全代码勇士 每次都要学会如何打败他们。

PS：认为一种古老的语言可以逃避SQL注入的敏感性吗？再想一想。看看你能不能 在 COBOL 中找到并修复一个 现在。